Cómo actuar ante una brecha de datos en una clínica médica

Una brecha de datos en una clínica no es solo un problema técnico, es un incidente que puede derivar en sanciones de hasta 20 millones de euros y pérdida de confianza irreparable. Lo que hagas en las primeras 72 horas marca la diferencia entre una gestión profesional y un desastre legal y reputacional.

He visto de primera mano cómo un médico recibe un correo de un paciente preguntando por qué ha recibido el informe clínico de otro. O cómo se descubre que un empleado ha accedido a historias sin motivo legítimo. En esos momentos, la sensación de vértigo es brutal, pero lo peor que puedes hacer es no actuar o esperar a que "se solucione solo".

La normativa europea (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos española son muy claras: tienes 72 horas desde que detectas la brecha para notificarla a la Agencia Española de Protección de Datos si existe riesgo para los derechos de los afectados. Y aquí viene el primer matiz que mucha gente desconoce: el plazo cuenta desde que la descubres, no desde que ocurrió. Si tardas semanas en darte cuenta, el reloj empieza cuando lo detectas.

Qué se considera brecha de seguridad (y qué no)

No todas las incidencias son brechas notificables. Una brecha de datos personales es cualquier violación de la seguridad que provoque destrucción, pérdida, alteración, comunicación no autorizada o acceso indebido a datos.

Ejemplos reales que he conocido:

• Envío masivo de recordatorios de citas por WhatsApp con todos los números visibles (brecha de confidencialidad)
• Ransomware que cifra el servidor con todas las historias clínicas (brecha de disponibilidad e integridad)
• Robo de un portátil sin cifrado con datos de pacientes (brecha de confidencialidad)
• Empleado que accede a historias de familiares sin justificación asistencial (brecha de confidencialidad)
• Archivo físico dejado en la sala de espera con datos visibles (brecha de confidencialidad)

Lo que sorprende a muchos colegas es que también hay que documentar brechas que NO se notifican a la AEPD porque consideras que no hay riesgo. Mantén un registro interno detallado de todas, porque la Agencia puede pedírtelo en una inspección.

Protocolo de actuación inmediata

Primeras horas: contención

Cuando detectas la brecha, tu prioridad es contener el daño. Si es un acceso no autorizado de un empleado, revoca inmediatamente sus credenciales en el software medico. Si es un ransomware, desconecta los equipos afectados de la red. Si es un envío erróneo de datos, intenta recuperar la información (pide al destinatario que la borre y confirme la destrucción).

En esta fase, documenta TODO: capturas de pantalla, correos, hora exacta de detección, sistemas afectados, volumen aproximado de datos comprometidos. Esta documentación será fundamental para la notificación.

Evaluación del riesgo: ¿hay que notificar?

Aquí viene la parte complicada. Debes evaluar el riesgo para los derechos y libertades de los afectados. La AEPD considera alto riesgo si hay:

• Datos especialmente sensibles (salud, obviamente lo es)
• Datos de menores o personas vulnerables
• Gran volumen de afectados
• Facilidad para identificar a las personas
• Posibilidad de discriminación, usurpación de identidad o fraude

Por experiencia, con datos de salud casi siempre hay que notificar. Incluso el nombre y la patología de un solo paciente expuesto ya genera riesgo. La excepción sería si los datos están cifrados de forma robusta y la clave no se ha visto comprometida, o si el acceso ha sido tan fugaz y controlado que no ha habido tiempo material de copia o uso indebido.

Notificación a la AEPD (72 horas)

La notificación se hace a través de la sede electrónica de la AEPD. Necesitarás certificado digital. El formulario pide:

• Descripción de la naturaleza de la brecha
• Categorías y número aproximado de afectados
• Categorías y número aproximado de registros
• Contacto del Delegado de Protección de Datos (si lo tienes, que en clínicas pequeñas no suele ser obligatorio)
• Consecuencias probables
• Medidas adoptadas o propuestas para remediarla

Si a las 72 horas no tienes toda la información, notifica lo que sepas e indica que ampliarás. Es mejor notificar incompleto dentro de plazo que completo fuera de él. Puedes presentar notificaciones complementarias después.

Comunicación a los afectados

Si el riesgo es alto para los derechos de los pacientes, además de notificar a la AEPD debes comunicárselo directamente a ellos sin dilación indebida. No hay plazo tasado, pero debe ser lo antes posible.

La comunicación debe ser clara, sin tecnicismos innecesarios, e incluir:

• Qué ha pasado exactamente
• Qué datos se han visto afectados
• Qué consecuencias puede tener para ellos
• Qué medidas has tomado
• Datos de contacto para consultas
• Recomendaciones prácticas (cambiar contraseñas, estar alerta ante intentos de phishing, etc.)

Un error que veo con frecuencia: intentar minimizar o echar balones fuera. Los pacientes valoran la transparencia. Admitir el fallo y explicar cómo lo vas a solucionar genera más confianza que endulzarlo.

Medidas técnicas y organizativas posteriores

Una vez gestionada la crisis inmediata, toca analizar las causas raíz y reforzar la seguridad. Aquí es donde muchas clínicas fallan: gestionan el incidente pero no aprenden de él.

Las medidas dependen del tipo de brecha, pero algunas casi universales:

• Revisión de permisos de acceso: muchos empleados tienen acceso a más información de la necesaria. Aplica el principio de mínimo privilegio.
• Cifrado de dispositivos: portátiles, tablets, discos externos. Todo lo que salga de la consulta debe ir cifrado.
• Formación al equipo: la mayoría de brechas son por error humano. Una sesión anual no basta, tiene que ser continua.
• Auditorías de acceso: revisa quién accede a qué historias. Si usas un buen software, debe llevar trazabilidad completa.
• Copias de seguridad: probadas y en ubicación separada. Un ransomware no es tan grave si puedes restaurar todo en horas.

La inversión en seguridad no es un gasto, es un seguro. Una sanción por brecha puede ir desde los 900 euros (infracciones leves) hasta los 20 millones de euros o el 4% del volumen de negocio anual, según el RGPD. Y eso sin contar el daño reputacional.

El papel del software en la prevención

Una comparativa de software médico debería incluir siempre criterios de seguridad: ¿dónde están alojados los datos? ¿Hay cifrado en tránsito y en reposo? ¿Permite gestión granular de permisos? ¿Lleva registro de auditoría? ¿Tiene certificaciones de seguridad?

Por experiencia desarrollando herramientas clínicas, sé que la seguridad es cara y compleja. Pero un software que no la prioriza te pone en riesgo legal permanente. Preguntas que deberías hacer a tu proveedor:

• ¿Están los datos en servidores de la UE?
• ¿Hay copias de seguridad automáticas y cifradas?
• ¿Puede un empleado acceder a historias sin dejar rastro?
• ¿Qué protocolo siguen ante una brecha en su infraestructura?
• ¿Tienen contratado un seguro de ciberriesgo?

Si las respuestas no te convencen, busca alternativas. Cambiar de software es un engorro, pero menor que gestionar una brecha grave.

Preguntas frecuentes

¿Puedo notificar una brecha fuera del plazo de 72 horas sin sanción?

El incumplimiento del plazo es una infracción, pero la AEPD valora las circunstancias. Si notificas tarde pero demuestras que has actuado con diligencia, documentas por qué te retrasaste y no había mala fe, la sanción puede ser simbólica o incluso no imponerse. Lo que sí agrava muchísimo es enterarse la Agencia por terceros (un afectado que denuncia) sin que tú hayas notificado. Eso indica dejadez.

¿Qué pasa si descubro una brecha antigua, de hace meses o años?

Notifica igualmente. El plazo de 72 horas corre desde el conocimiento, no desde el momento del incidente. Explica en la notificación que acabas de descubrirlo (auditoria interna, cambio de sistema, etc.) y detalla qué medidas has tomado. Puede que ya no se pueda remediar, pero demuestras voluntad de cumplimiento.

¿Necesito un Delegado de Protección de Datos para gestionar una brecha?

No necesariamente. El DPD es obligatorio si tratas datos de salud a gran escala (hospitales, grandes clínicas), pero una consulta pequeña normalmente no. Dicho esto, tener un asesor externo en protección de datos para estas situaciones es muy recomendable. No tiene por qué ser DPD formal, pero sí alguien con conocimiento específico que te guíe en la notificación y medidas correctoras.

Conclusión: la mejor brecha es la que no ocurre

Gestionar una brecha de datos es estresante y costoso, pero lo realmente caro es la prevención deficiente. En mi experiencia, las clínicas que dedican tiempo a formar al equipo, auditar sus sistemas y elegir bien sus herramientas digitales duermen más tranquilas.

Si te ha pasado, no entres en pánico: actúa rápido, notifica con transparencia y aprende del fallo. Si aún no te ha pasado, no asumas que nunca pasará. Revisa hoy mismo tus protocolos, haz una auditoría de accesos y asegúrate de que tu equipo sabe a quién avisar si detecta algo raro. Ese tiempo invertido vale más que cualquier abogado cuando las cosas se tuercen.